Windows Program Compatibility Assistant Service: Rechteausweitung durch Heap-Überlauf

Zusammenfassung

Der Windows Program Compatibility Assistant (PCA) Service, eine Windows-Komponente, ist in mehreren Versionen von Windows 10, Windows 11 und Windows Server betroffen. Ein lokaler Angreifer mit bereits vorhandener, niedrig privilegierter Sitzung kann einen Heap-basierten Pufferüberlauf (CWE-122) ausnutzen, um seine Rechte zu erweitern. Für den Angriff sind kein Internetzugriff und keine Benutzerinteraktion nötig, der Angreifer muss sich aber bereits einen Zugang auf dem System verschafft haben.

Betroffen

• Windows 10 Version 1607 (Builds 10.0.14393.0 bis < 10.0.14393.9612; CPE im NVD-Eintrag)
• Windows 10 Version 1809 (Builds 10.0.17763.0 bis < 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds 10.0.19044.0 bis < 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds 10.0.19045.0 bis < 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds 10.0.22631.0 bis < 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds 10.0.26100.0 bis < 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds 10.0.26200.0 bis < 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds 10.0.28000.0 bis < 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds 10.0.26300.0 bis < 10.0.26300.9711)
• Windows Server 2016 inkl. Server Core (Builds 10.0.14393.0 bis < 10.0.14393.9612)
• Windows Server 2019 inkl. Server Core (Builds 10.0.17763.0 bis < 10.0.17763.9376)
• Windows Server 2022 (Builds 10.0.20348.0 bis < 10.0.20348.5761)

Behoben in

• Das Microsoft-Sicherheitsupdate für den betroffenen Build installieren (korrigierte Builds gemäss CNA-Eintrag: 10.0.14393.9612, 10.0.17763.9376, 10.0.19044.7807, 10.0.19045.7807, 10.0.22631.7652, 10.0.26100.9711, 10.0.26200.9711, 10.0.28000.3231, 10.0.26300.9711, 10.0.20348.5761)
• Knowledge-Base-Nummern (KB): Unbekannt. Vor dem Patchen im MSRC Security Update Guide abrufen.

Umgehung

• Kein Workaround von Microsoft bekannt.
• Ein Drittanbieter-Aggregator empfiehlt, den PCA-Dienst zu deaktivieren, falls keine Legacy-Kompatibilität benötigt wird, oder ihn mit minimalen Rechten laufen zu lassen. Dies ist keine Empfehlung des Herstellers und kann Legacy-Anwendungen beeinträchtigen.

Ausnutzung

• Microsoft stuft die Schwachstelle als nicht ausgenutzt ein.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Bei den Recherchen wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle Windows-10-, Windows-11- und Windows-Server-Systeme inventarisieren und betroffene Builds identifizieren.
• Betroffene Systeme im nächsten Patch-Zyklus patchen, dabei Mehrbenutzersysteme, Terminalserver und RDS-Hosts priorisieren.
• Den korrigierten Build pro Produkt auf der MSRC-Seite prüfen, da einzelne Drittanbieter-Daten Unstimmigkeiten enthalten.
• Prüfen, ob Windows 10 1607 noch unterstützt wird; falls nicht, einen Ersatz planen.
• Die Deaktivierung des PCA-Dienstes nur dort prüfen, wo Legacy-Anwendungen nachweislich nicht genutzt werden, und vorher testen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96920 msrc.microsoft.com
• CNA record mirror (Vulners) vulners.com
• NVD/CVE mirror with SSVC and CVSS (OpenCVE) app.opencve.io
• Third-party product table (Strix) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:43.